Сенатор Енді Кім представив проєкт тексту Закону про цифрове підтвердження віку — федеральну пропозицію, яка змінить спосіб роботи вікової верифікації в інтернеті, переносячи відповідальність з окремих застосунків на рівень магазинів застосунків або пристроїв. Згідно з повідомленням Politico, проєкт значною мірою повторює закон Каліфорнії, який уже отримав підтримку великих технологічних компаній, — це сигнал, що такий підхід може набрати обертів у Вашингтоні, навіть попри те, що подібні політики викликають дебати щодо приватності в інших місцях.

Законопроєкт з'являється в момент, коли законодавці по всій країні борються з питанням, як не допустити неповнолітніх до контенту для дорослих та соціальних платформ, не перетворюючи кожен вебсайт на цифровий контрольно-пропускний пункт, що вимагає водійських прав або сканування обличчя. Пропозиція Кіма являє собою помітний поворот: замість того, щоб вимагати від тисяч окремих застосунків самостійно перевіряти вік користувачів, часто через завантаження документів або біометричні скани, відповідальність покладатиметься на магазини застосунків, такі як App Store від Apple або Google Play, які один раз підтверджуватимуть вікову категорію користувача й передаватимуть відповідний сигнал розробникам.

Чому перевірки віку на рівні магазинів застосунків набирають обертів

Модель із використанням магазинів застосунків стала популярною в технологічній індустрії з простої причини: вона об'єднує безладну, фрагментовану проблему відповідності в єдину точку верифікації. Замість того, щоб кожен розробник застосунків збирав конфіденційні документи, що посвідчують особу, магазин застосунків робить це один раз, а розробники отримують лише базовий сигнал про вік, наприклад, чи є користувач старшим або молодшим за 18 років. Apple та Google публічно підтримали цей підхід у різних дебатах на рівні штатів, і той факт, що федеральний проєкт Кіма віддзеркалює закон Каліфорнії, який уже має підтримку індустрії, свідчить про те, що законодавці бачать у цьому рідкісний момент консенсусу між регуляторами та технологічними компаніями.

Для менших розробників це може суттєво зменшити тягар відповідності. Їм більше не потрібно було б створювати або підтримувати власні системи вікової верифікації — дорогу й юридично ризиковану справу, враховуючи клаптикове покриття чинних законів штатів. Для користувачів аргумент полягає в тому, що менше застосунків безпосередньо оброблятимуть конфіденційні дані про особу, теоретично зменшуючи кількість місць, де дата народження, скан ID або фотографія обличчя можуть бути викриті у випадку витоку.

Компроміс із приватністю, про який недостатньо говорять

Але централізація вікової верифікації на рівні магазину застосунків або операційної системи не усуває ризик для приватності — вона його переміщує. Якщо Apple, Google або подібний контролер стає єдиним джерелом правдивої інформації про вік користувача для кожного застосунку на пристрої, це створює концентровану точку збору даних і потенційної відмови. Витік або зловживання на цьому рівні зачепить не базу користувачів одного застосунку, а може торкнутися майже кожної людини, яка володіє смартфоном.

Це не гіпотетична загроза. Централізовані системи вікової верифікації вже стикалися із серйозними проблемами в інших місцях. Стандартизований застосунок для підтвердження віку в ЄС було зламано за лічені хвилини після запуску — яскраве нагадування, що створення єдиного довіреного рівня верифікації не означає автоматичного створення безпечного. Дослідники безпеки знайшли спосіб обійти інструмент ЄС майже одразу після його запуску, що підриває саму передумову, ніби консолідація верифікації в одну систему робить інтернет безпечнішим для неповнолітніх або більш приватним для дорослих.

Існує також ширша закономірність, за якою варто спостерігати: щойно уряд або платформа створює інфраструктуру, здатну ідентифікувати, хто, що і на якому пристрої використовує, цю інфраструктуру можна перепрофілювати. Централізовані цифрові системи контролю мають історію значного розширення за межі своєї початкової мети — цю динаміку видно в тому, як Китай рухається до блокування ширших категорій закордонного інтернет-доступу через централізований мережевий контроль, спочатку виправданий вужчими підставами. Системи підтвердження віку — це не те саме, що національні файрволи, але основний урок залишається: інфраструктура, створена для однієї мети, має тенденцію використовуватися для інших.

Що це означає для вас

Якщо Закон про цифрове підтвердження віку або подібні закони на рівні штатів просуватимуться вперед, більшості користувачів не потрібно буде завантажувати ID у кожен застосунок, який вони встановлюють. Натомість ваш пристрій або обліковий запис у магазині застосунків, імовірно, міститиме верифікований статус віку, який вибірково передаватиметься застосункам, що його вимагають. Це суттєвий зсув порівняно з поточною ситуацією, коли деякі платформи вже вимагають скани документів або розпізнавання обличчя безпосередньо.

Однак це не означає, що занепокоєння щодо приватності зникає. Той, хто контролює цей централізований сигнал про вік — чи то Apple, чи Google, чи державний сервіс верифікації, — стає високоцінною мішенню для хакерів і потенційною точкою важеля для майбутніх запитів даних. Користувачам варто звертати увагу на те, які дані насправді збираються для встановлення віку (дата народження, державне посвідчення особи, біометричні дані) і як довго ці дані зберігаються, а не лише на те, де відбувається верифікація.

Ключові висновки

Законопроєкт Кіма все ще перебуває у формі проєкту, і його шлях через Конгрес далеко не визначений. Але він відображає реальний зсув у тому, як законодавці та технологічні компанії підходять до вікової верифікації: менше застосунків обробляють конфіденційні дані безпосередньо, але більше відповідальності концентрується в меншій кількості контролерів. Читачам варто стежити за тим, як ці пропозиції визначають правила зберігання даних, що станеться, якщо центральну систему верифікації буде зламано, і чи отримають користувачі реальний спосіб відмовитися або оскаржити неправильне визначення віку. Як і з будь-якою системою вікової верифікації, деталі реалізації матимуть набагато більше значення, ніж заголовна обіцянка простішого, більш приватного інтернету.